| Exigences fondamentales de la sécurité informatique :
Disponibilité : les données sont accessibles et utilisables au moment voulu par les personnes autorisées
Intégrité : les données ne doivent subir aucune autre modification que celles prévues et planifiées par leur propriétaire légal
Confidentialité : les données ne sont accessibles ou ne peuvent être diffusées de façon intelligible qu’aux personnes autorisées
Preuve ou traçabilité : les accès et tentatives d’accès aux données sont tracés. Les traces sont exploitables
Non-répudiation de l’information : garantie qu’aucun des correspondants ne pourra nier un échange de données | | |
|
| | |
|
| | |
|
| | |
|
| | |
|
| | |
|
| | |
|
| | |
|
| | |
|
| | |
|
| | |
|
| | |
|
| | |
|
| | |
|
| | |
|
| | |
|
| | |
|
| | |
| 
|
Norme ISO 27799:2008 (catalogue de l’ISO) Informatique de santé - Management de la sécurité de l’information relative à la santé en utilisant l’ISO/CEI 27002
L’ISO 27799:2008 fournit des lignes directrices permettant d’interpréter et de mettre en œuvre l’ISO/CEI 27002 dans le domaine de l’informatique de santé et constitue un complément à cette dernière |
| ISO/CEI 27002 régie plus généralement la sécurité de l’information | |
|
| | |
|
| | |
|
 |
Loi informatique et liberté
- données à caractère personnel (article 2)
- responsable d’un traitement de données à caractère personnel (article 3)
- traitement des données à caractère personnel (article 6)
- données en rapport avec les origines ethniques, les opinions politiques ou religieuses (article 8)
- droit à l’information (article 32)
- responsabilités vis-à-vis de la sécurité des données (article 34)
- droit d’opposition (article 38)
- droit d’accès (article 39)
- droit de rectification (article 40)
Voir aussi titre 1 de la loi du 6 août 2004 relative à la protection des personnes physiques à l’égard des traitements de données à caractère personnel et modifiant la loi n° 78-17 du 6 janvier 1978 relative à l’informatique, aux fichiers et aux libertés |
| | |
| |
|
Article R1110-2 du CSP : « Le responsable du traitement, au sens de l’article 3 de la loi n° 78-17 du 6 janvier 1978 modifiée relative à l’informatique, aux fichiers et aux libertés, est chargé de veiller au respect du référentiel. Il lui appartient notamment de :
1° Gérer la liste nominative des professionnels habilités à accéder aux informations médicales relevant de ce traitement et la tenir à la disposition des personnes concernées par ces informations (...)» |
| | |
|
| | |
|
| | |
|
| | |
|
| | |
|
| Voir aussi Apycrypt | |
| |
|
Norme ISO/CEI 17799 (boutique AFNOR) sécurité de l’information, publiée en décembre 2000 par l’ISO dont le titre est Code de bonnes pratiques pour la gestion de la sécurité d’information. |
| | |
| |
|
Titre 21 CFR partie 11 du code fédéral américain (Code of Federal Regulations, CFR) traite des recommandations de la FDA sur la fiabilité des dossiers médicaux électroniques |
| | |
|
| | |
|
| Site non maintenu ? | |
|
 |
NF EN 62304 : logiciels de dispositifs médicaux - Processus du cycle de vie du logiciel
La présente norme s’applique au développement et à la maintenance des LOGICIELS DE DISPOSITIFS MEDICAUX. La présente norme s’applique au développement et à la maintenance des LOGICIELS DE DISPOSITIFS MEDICAUX lorsque le logiciel est un DISPOSITIF MEDICAL OU lorsque le logiciel est incorporé ou fait partie intégrante du DISPOSITIF MEDICAL final. La présente norme ne couvre pas la validation et la mise sur le marché du DISPOSITIF MEDICAL, même lorsque le DISPOSITIF MEDICAL est intégralement constitué du logiciel. |
| | |
|
| | |
|
| | |
|
| | |
|
| | |
|
| | |
| |
|
Article 1316-1 du Code Civil : L’écrit sous forme électronique est admis en preuve au même titre que l’écrit sur support papier, sous réserve que puisse être dûment identifiée la personne dont il émane et qu’il soit établi et conservé dans des conditions de nature à en garantir l’intégrité. |
| | |
|
| | |
|
| | |
|
| | |
|
| | |
|
| | |
|
| | |
|
| | |
| |
|
La Cura
« A brain cancer.
Some very personal Open Data.
An opportunity » |
| Un hacker italien, atteint d’un cancer, a piraté ses propres données médicales puis les a partagées sur le web pour faire de sa lutte contre la maladie une aventure collective mais aussi une œuvre d’art numérique. Son projet, né en 2012 et baptisé La Cura, se poursuit encore aujourd’hui (Hospimedia le 24/12/2015) | |
|
| | |
|
| | |
|
| | |
|
| Moteurs de recherche pour trouver des objets connectés | |
|
| | |
|
| | |
|
| | |
|
| | |
|
| | |
|
| | |
|
| | |
|
| | |
|
| | |
|
| | |
|
| | |
|
| | |
|
| | |
|
| Les systèmes d’information en santé et l’éthique (Livre, édition ISTE)
Les Big Data et l’éthique
Le cas de la datasphère médicale (Livre, édition ISTE) | |
|
| | |
|
| | |
|
| | |
|
| | |
|
| | |
|
| | |
|
| | |
|
| | |
|
| | |
|
| | |
|
| | |
|
| | |
|
| | |
|
| | |
|
| | |
|
| | |
|
| | |
|
| | |
|
| | |
|
| | |
|
| | |
|
| | |
|
| | |
|
| | |
|
| | |
|
| | |
|
| | |
|
| | |
|
| | |
|
| | |
|
| | |
|
| | |
|
| | |
|
| | |
|
| | |
|
| | |
|
| | |
|
| Outre-Manche, une étude alerte sur les dangers des ordinateurs vieillissants du National Health Service (NHS), qui seraient responsables de « 100 à 900 décès par an ». Des chiffres effarants, dont l’à-peu-près révèle surtout une totale méconnaissance de l’impact réel des défaillances logicielles dans le monde de la santé...
TICpharma le 23/2/2018 | |
|
| | |
|
| Transposition de la directive NIS | |
|
| | |
|
| | |
|
| | |
|
| | |
|
| | |
|
| Les organismes sociaux, les établissements de santé, y compris les hôpitaux et cliniques privés, ainsi que les grossistes répartiteurs pharmaceutiques sont désignés comme services essentiels au fonctionnement de la société ou de l’économie. | |
|
| | |
|
| | |
|
| | |
|
| | |
|
| | |
|
| | |
|
| | |
|
| Règles NF 525, site d’Infocert
Offre Infocert | |
|
| | |
|
| | |
|
| | |
|
| Albert Torres, arrêté en avril aux Etats-Unis pour avoir dérobé les données de plus de 1.000 patients du Veterans Affairs Medical Center de Long Beach, où il travaillait, a été condamné à trois ans de prison.
TICpharma le 22/6/2018 | |
|
| Hospimédia le 2/10/2018
Les opérateurs de services essentiels (OSE) doivent appliquer des règles de sécurité aux réseaux et aux systèmes d’information (SI). Ces règles viennent d’être précisées en annexe d’un arrêté publié au Journal officiel du 29 septembre. Pour ce qui est de la gouvernance de la sécurité, l’OSE doit effectuer et tenir à jour une analyse de risque de ses SI. Pour cela, il est invité à élaborer une politique de sécurité des réseaux et systèmes d’information (PSSI) définissant : les objectifs et les orientations stratégiques, l’organisation de la gouvernance de la sécurité, les plans de sensibilisation à la sécurité ou encore les procédures de contrôle et d’audit. | |
|
| | |
|
| | |
| |
|
Pourquoi le business model des garanties « cyber rançon » est actuellement remis en cause ?
Les garanties qui couvrent le risque des ransomwares vont-elles bientôt disparaître ? Peut-être, à en croire la récente suspension de la garantie « cyber rançonnage » d’Axa France. En effet, pour les assureurs, le versement de la rançon coûte parfois moins cher que de payer l’indemnité au titre de la police d’assurance. Or ce système est contre-productif puisqu’il renforce l’activité des hackers.
L’UsineDigitale, le 6 mai 2021 |
| Mon avis :
Payer la rançon coûte moins cher (et pas seulement à l’assurance comme le laisse penser l’article) ... quand le solutionware fonctionne.
Même si c’est juridiquement possible (assimilable à du recel), il semble difficile aux juristes de sanctionner le payeur d’une rançon dès lors qu’il peut faire prévaloir son statut de victime, son absence de responsabilité dans l’acte délictueux initial et donc quelque part un défaut de souveraineté. | |
|
| | |
|
| | |
|
| Quelle est la situation en France ? | |
|
| | |
|
| | |
|
| | |
|
| | |
|
| | |
|
 |
Cybersecurity Act (ANSSI)
Adopté par le Parlement européen le 12 mars 2019 puis par le Conseil de l’Union européenne le 7 juin, le règlement européen Cybersecurity Act marque une véritable avancée pour l’autonomie stratégique européenne. Il poursuit un double objectif : l’adoption du mandat permanent de l’ENISA, l’Agence européenne pour la cybersécurité, et la définition d’un cadre européen de certification de cybersécurité, essentiel pour renforcer la sécurité du marché unique numérique européen. |
| | |
|
| | |
|
| | |
|
| | |
|
| | |
|
| | |
|
| | |
|
| | |
|
| | |
|
| | |
|
| | |
|
| | |
| |
|
Doctolib : nos données médicales ne sont pas entièrement protégées
En quelques années, Doctolib est devenu un acteur phare du système de santé avec 50 millions d’utilisateurs en France. Mais contrairement à ce que l’entreprise a longtemps affirmé, nos données personnelles ne sont pas entièrement chiffrées.
france inter, le 20/5/2022 |
| | |
|
| « Directive NIS » (Network and Information Security) | |
|
| | |
|
| | |
|
| | |
|
| | |
|
| | |
|
| | |
|
| | |
| |
|
Nos données de santé sont-elles suffisamment protégées ?
Entretien avec le juriste Nicolas Samarcq autour de la protection des données de santé. L’occasion de revenir sur le développement de la télémédecine en ces temps de crise sanitaire, ainsi que sur le projet de création en France d’un Health Data Hub à des fins de recherche médicale.
Usbeke & Rica, 26 octobre 2020 |
| | |
|
| | |
|
| | |
|
| | |
| |
|
California Consumer Privacy Act (CCPA)
Healthcare data covered by the Health Insurance Portability and Accountability Act (HIPAA) Rules and California’s Confidentiality of Medical Information Act (CMIA) were exempted from CCPA...
HIPAA Journal on Jan 20, 2020 |
| | |
|
| | |
|
| | |
|
| | |
|
| | |
|
| | |
| |
|
Des hackers nord-coréens ciblent des chercheurs en sécurité via un faux blog scientifique
Des chercheurs en sécurité ont été pris pour cibles par « une entité soutenue par le gouvernement basée en Corée du Nord », alertent des membres du Threat Analysis Group de Google. Via un blog et des comptes Twitter, les hackers tentaient d’attirer les chercheurs qui en cliquant sur certains liens se retrouvaient affectés par un malware.
L’UsineDigitale, le 26/1/2021 |
| | |
|
| | |
|
| | |
|
| Fin de la dérogation permettant de s’équiper en outils numériques ne respectant pas la PGSSI-S et la certification HDS | |
|
| | |
|
| Cette page n’est plus librement accessible | |
|
| | |
|
| | |
|
| | |
| |
|
Pourquoi préserver le statut d’HDS
Billets « concertations » de François Kaag
Association Française des Hébergeurs Agréés de Données de Santé à Caractère Personnel (AFHADS, dissoute) |
| | |
|
| | |
| |
|
Données de santé : comment l’Allemagne tente d’échapper à l’emprise américaine
Le ministre de la Santé, Jens Spahn, veut échapper aux « modèles de surveillance policière ou capitaliste qui ne sont pas les nôtres », en développant un dispositif 100 % européen. Il appelle à la création d’une banque de données allemande, pouvant préfigurer celle souhaitée par la Commission européenne.
Les Echos, le 11/3/2020 |
| | |
|
| | |
|
| | |
|
| Détaille assez précisément la procédure de hacking | |
|
| | |
|
 |
Alerte de la cellule ACSS sur la diffusion du logiciel malveillant Emotet
Plusieurs établissements de santé ont été victimes d’actes de cybermalveillance impliquant le maliciel Emotet. Il convient d’y apporter une attention particulière car Emotet est désormais utilisé pour déposer d’autres codes malveillants susceptibles d’impacter fortement l’activité des victimes.
Cyberveille, septembre 2020 |
| | |
|
| | |
| |
|
Un ransomware provoque le décès d’une femme en urgence vitale dans un hôpital allemand
Vu ailleurs L’hôpital de Düsseldorf, en Allemagne, n’a pas pu opérer une femme en urgence vitale car il était touché par un ransomware paralysant son système. Lors de son transfert vers un autre établissement de santé, la patiente est décédée. Les autorités allemandes ont ouvert une enquête pour homicide involontaire contre les cybercriminels.
L’UsineDigitale le 18/9/2020 |
| | |
| |
|
Plateforme Convergence
Plateforme nationale pour accompagner les acteurs de la e-santé à se conformer à la réglementation et à accélérer leur développement |
| | |
| |
|
Medigate lève 30 millions de dollars pour exporter sa plateforme de sécurisation de l’IoT médical
Levée de fonds Medigate a développé une plateforme de cybersécurité qui surveille le trafic généré par les objets connectés médicaux afin d’avertir les hôpitaux en cas de vulnérabilités informatiques. La jeune pousse new-yorkaise vient de lever 30 millions de dollars pour exporter sa solution en Europe et en Asie. Elle désire également adapter sa plateforme aux appareils utilisés dans le cadre de la télémédecine.
L’UsineDigitale, le 16/9/2020 |
| | |
|
| | |
|
| | |
|
| | |
|
| | |
|
| | |
|
| | |
|
| | |
| |
|
L’offre de service « Parcours de cybersécurité » est proposée par l’ANSSI aux collectivités territoriales, aux établissements de santé et aux organisations au service des citoyens dans le cadre de France Relance. Son objectif ? Élever le niveau de sécurité de systèmes d’information de ses bénéficiaires via la mise en œuvre de parcours de sécurité adaptés aux enjeux et aux besoins des organisations. L’accompagnement des bénéficiaires est le maître-mot de cette offre de service. |
| | |
|
| | |
| |
|
Une ingénieure antivax pirate le serveur d’un hôpital lyonnais
Une femme de 39 ans, ingénieure aux Hospices civils de Lyon et opposée à l’obligation vaccinale liée à sa situation professionnelle, a manifesté sa réprobation en s’introduisant dans le serveur informatique de l’hôpital Édouard Herriot, place d’Arsonval à Lyon (3e).
Le Progrès, le 26/1/2022 |
| | |
| |
|
Le Health Data Hub cherche son centre opérationnel de sécurité
Au cœur du Health Data Hub, la centralisation des données de santé nécessite une sécurité informatique irréprochable. A ce titre, un appel d’offres a été lancé pour déployer un centre opérationnel de sécurité chargé d’analyser les menaces et d’identifier les mesures de sécurité à mettre en oeuvre. Le marché a une durée de trois ans.
L’Usine Digitale, le 13/6/2022 |
| | |
| |
|
Autopsie d’un piratage : Cyberattaque au CH d’Arles
Dans la nuit du 1er au 2 août 2021, l’équipe du laboratoire biologique du centre hospitalier d’Arles appelle l’ingénieur informatique d’astreinte pour lui signaler des difficultés de connexion. Pour mieux comprendre, l’ingénieur se rend sur place...
What’s up Doc, 16 août 2022 |
| | |
| |
|
Jean-Noël Barrot, le ministre délégué au Numérique, présente ses objectifs dans la cybersécurité
D’ici 2025, le chiffre d’affaires du secteur de la cybersécurité devrait être multiplié par trois, la France devrait disposer de trois licornes et avoir créé 37 000 emplois, a promis Jean-Noël Barrot, ministre délégué au Numérique, devant un parterre d’industriels. Des annonces sur la protection des ETI-PME et le cloud devraient avoir lieu dans les prochaines semaines.
L’UsineDigitale, le 7/9/2022 |
| La cybersécurité pour le ministre, c’est un marché avant d’être une souveraineté.
Un marché ne résulte pas seulement une offre mais aussi d’une demande solvable.
Face à un problème de sécurité, la chambre de commerce nous répond... | |
|
| | |
|
| | |
|
| | |
|
| | |
|
| | |
|
| | |
|
| | |
|
| | |
| |
|
Allocation handicap : déjà deux mois sans virement pour certaines familles martiniquaises
Sans allocations depuis le bug informatique à la Collectivité Territoriale de Martinique, des personnes en situation de handicap et leurs aidants familiaux manifestaient le 17 juillet dernier. La CTM avait alors promis un retour à la normale à la fin du mois, mais à cette date, des familles n’ont encore rien reçu. Elles se mobilisent de nouveau ce jeudi 3 août.
FranceInfo, le 2/8/2023 |
| | |
|
| | |
|
| | |
|
| | |
|
| | |
|
| | |
|
| | |
|
| | |
| |
|
Santé et objets connectés : y a-t-il un médecin sur mon poignet ?
Dans son documentaire « Objets connectés : un atout pour se soigner ?» diffusé mardi soir dans « Enquête de santé », Bruno Timsit fait le point sur l’importance et les enjeux, pour la médecine de demain, de ces dispositifs capables de récupérer et transmettre en continu des données de santé.
Libération, le 14/11/2022 |
| | |
|
| | |
|
| | |
|
| | |
|
| | |
|
| | |
|
| | |
|
| | |
|
| | |
|
| | |
|
| | |
|
| | |
|
| | |
| |
|
Portail mesHabilitations
« C’est ici que je désigne les personnes en charge de la gestion des certificats logiciels ou les gestionnaires eRPPS et que je consulte mes habilitations » |
| | |
| |
|
ISO/IEC 27701:2019
Techniques de sécurité
Extension d’ISO/IEC 27001 et ISO/IEC 27002 au management de la protection de la vie privée
Exigences et lignes directrices |
| | |
| |
|
UnitedHealth confirme que des hackers ont volé les données de santé de nombreux Américains
Change Healthcare, branche de la société d’assurance américaine UnitedHealth, avait été touchée par une cyberattaque fin février, mettant en difficulté le fonctionnement du système de santé du pays. Le groupe de santé, qui gère les données de santé de près de la moitié des Américains, a confirmé un vol massif de données et le paiement d’une rançon pour éviter la publication de fichiers supplémentaires.
L’UsineDigitale, le 23/4/2024 |
| | |
|
| | |
| |
|
Cyberattaque à l’hôpital de Cannes : les hackers de LockBit publient 61 gigaoctets de données
L’hôpital Simone-Veil, à Cannes, avait été touché le 16 avril par une cyberattaque. Le groupe de hackers LockBit avait revendiqué l’opération et émis une demande de rançon expirant le 1er mai au soir. Ce matin, 61 gigaoctets de données personnelles de patients et d’agents pubics, et de données relatives au fonctionnement de l’hôpital, ont été publiés sur le dark web.
L’UsineDigitale, le 2 mai 2024 |
| | |
|
| | |
|
| | |
|
| | |
|
| | |
|
| | |
|
| | |
|
| | |
|
| | |
|
| | |
|
| | |
|
| | |
|
| | |
|
| | |
|
| | |
|
| | |
|
| | |
|
| | |
|
| | |
|
| | |
| |
|
Les API de Mon Espace Santé sous haute surveillance
En janvier 2022, la CNAM et la Direction de la Sécurité Sociale lançaient Mon Espace Santé, une déclinaison grand public du DMP, le Dossier Médical Partagé. Un service Web nécessairement sous haute surveillance, tant les données sont critiques.
LeMagIT, le 20/12/2023 |
| | |
|
| | |
|
| | |
| |
|
Après OVHcloud, Cloud Temple se positionne à son tour sur le Health Data Hub
Cloud Temple, l’un des 5 fournisseurs de cloud français ayant obtenu le visa de sécurité SecNumCloud, s’intéresse de très près au Health Data Hub. Cette immense base regroupant les données de santé des Français est actuellement aux mains de Microsoft Azure et ce, jusqu’en 2025 en principe. Sébastien Lescop, CEO de Cloud Temple, a exposé sa stratégie au Club des DPO pour réussir à convaincre l’Etat de lui confier cet hébergement.
l’UsineDigitale, le 222/1/2024 |
| | |
|
| | |
| |
|
Publication de l’OPSSIMS : observatoire Permanent de la sécurité des SI spécifique au secteur médico-social |
| | |
|
| | |
|  |
| Document en français |
| Issu des assises de la sécurité des SI, Monaco octobre 2011
Publié sur ce site avec l’autorisation de JP.Blum | |
| |
| Document en français |
| Vade-Mecum des Objets Connectés
Association pour la Promotion de la Sécurité des Systèmes d’Information de Santé (APSSIS) et DSIH magazine, juillet 2014
Nombreux exemples et références | |
| |
| Document en français |
| Qualité et sécurité du télésoin
Bonnes pratiques pour la mise en œuvre
HAS, le 18 février 2021 | |
| |
| Document en français |
| Guide d’hygiène informatique (ANSSI)
Version 2.0 janvier 2017 | |
| |
| Document en français |
| Avis 20210021 du 15 avril 2021 de la CADA
La communication des codes sources du Health data hub n’aura pas lieu
Hospimédia le 26/04/21
Le Conseil national du logiciel libre a demandé la communication des codes sources du Health data hub. Une demande à laquelle la Commission d’accès aux documents administratifs n’a pas pas répondu favorablement. | |
| |
| Document en français |
| Contrats liés aux logiciels médicaux : les obligations des médecins
Traite des obligations des médecins quant à l’utilisation des logiciels de soins
Publié dans le bulletin de l’Ordre national des médecins de juillet-août-septembre 2015 | |
| |
| Document en anglais |
| Using Health IT in Practice Redesign: Impact of Health IT on Workflow
AHRQ
Etude de l’impact des données médicales électroniques fournies par les patients | |
| |
| Document en français |
| Guide pratique : Plan de Continuité Informatique
ASIP Juillet 2015 | |
| |
| Document en français |
| « Le CNPS met en garde contre l’implantation de logiciels externes dans les postes de travail des professionnels de santé »
Lettre du Centre National des Professions de Santé du 10 mars 2016 | |
| |
| Document en français |
| Guide pratique
Mécanismes de protection de l’intégrité des données stockées
PGSSI-S ASIP mai 2016 | |
| |
| Document en français |
| Guide pratique
Gestion des habilitations d’accès au SI
PGSSI-S, ASIP mai 2016 | |
| |
| Document en français |
| GT 28 CSF
Créer les conditions d’un développement vertueux des objets connectés et des applications mobiles en santé
Janvier 2017 | |
| |
| Document en français |
| Contrairement à l’informatique hospitalière, les applications mobiles sont vaccinées contre les attaques. En effet, leurs données ont peu de valeur pour les pirates
Que choisir, août 2016 | |
| |
| Document en français |
| Dans la lettre de St Jude aux utilisateurs publiée par l’ANSM (Lien non faisable !) le 13 avril, la société annonce la mise à disposition en Europe de la version logicielle 8.2.2 du transmetteur patient Merlin@Home, bénéficiant de mises à jour « qui complètent les mesures de sécurité existantes et réduisent encore davantage les risques déjà très faibles de cybersécurité ». | |
| |
| Document en français |
| Applications en santé : le B.A.-ba sur cette révolution
Bulletin du Conseil National de l’Ordre des Médecins, juillet-août 2017 | |
| |
| Document en français |
| TVA - Régimes d’imposition et obligations déclaratives et comptables - Obligations d’ordre comptable - Obligation d’utiliser un logiciel de comptabilité ou de gestion ou un système de caisse satisfaisant à des conditions d’inaltérabilité, de sécurisation, de conservation et d’archivage des données en vue du contrôle de l’administration fiscale
Bulletin Officiel des Finances Publiques-Impôts 3/8/2016 | |
| |
| Document en français |
| Evolution de la procédure d’agrément des hébergeurs de données de santé, fiche ASIP, 2017 | |
| |
| Document en français |
| Revue stratégique de cyberdéfense, SGDSN 12 février 2018 | |
| |
| Document en français |
| Guide pratique sur la protection des données à destination des médecins, CNOM et CNIL, juin 2018 | |
| |
| Document en français |
| Catalogue des solutions qualifiées par l’ANSSI, juin 2018 | |
| |
| Document en français |
| Arrêté du 2/7/2018 sur l’instruction méthodologique d’analyse de risque d’un secteur d’activités d’importance vitale
Premier ministre | |
| |
| Document en français |
| Information de « logiciovigilance » de Medasys aux utilisateurs des logiciels Halia* et DxLab* en cas de mise à jour automatique des environnements
Courrier relayé le 7 août par l’ANSM | |
| |
| Document en français |
| Présentation de Marc FUMEY (HAS) à la SFAR le 28/9/2018 sur le numérique en santé | |
| |
| Document en français |
| Observatoire des signalements d’incidents de sécurité des systèmes d’information pour le secteur santé
Rapport public 2020
Ministère des Solidarités et de la Santé et ANS | |
| |
| Document en français |
| Mémento RGPD à l’usage du directeur d’établissement
Ministère des Solidarités et de la Santé, 29/3/19 | |
| |
| Document en français |
| Témoignages exclusifs de 40 professionnels de la SSI Santé
APSSIS, janvier 2019 | |
| |
| Document en français |
| Se familiariser avec le RGPD
Kit d’information à destination des établissements médico-sociaux
FHF, septembre 2018 | |
|  |
| Document en français |
| Présentation d’Anita Burgun et Marc Cuggia sur le partage des données pour la recherche clinique
2014 | |
| |
| Document en français |
| Qualité et sécurité des actes de téléconsultation et de téléexpertise
Guide de bonnes pratiques
HAS mai 2019 | |
| |
| Document en français |
| Maîtrise du risque numérique - L’atout confiance
Agence nationale de la sécurité des systèmes d’information (ANSSI) et l’Association pour le management des risques et des assurances de l’entreprise (AMRAE), novembre 2019 | |
| |
| Document en français |
| Rapport d’activité de Cybermalveillance.gouv.fr 2021 | |
| |
| Document en français |
| Panorama de la menace informatique 2021
ANSSI, 8 mars 2022 | |
| |
| Document en français |
| Feuille de route « Accélérer le virage numérique », dossier de presse, ministère 25 avril 2019 | |
| |
| Document en français |
| Industrie du futur - enjeux et perspectives pour la filière industries et technologies de santé
Rapport du Pôle Interministériel de Prospective et d’Anticipation des Mutations économiques (PIPAME), juin 2019 | |
| |
| Document en français |
| Contribution des outils numériques à la transformation des organisations de santé
Paroles d’acteurs
Coordinateur Dr Jean-Pierre Blum
2019 Tome 1 | |
| |
| Document en français |
| Recommandations pour la protection des systèmes d’information essentiels
Guide ANSSI, version 1.0, 18/12/2020 | |
| |
|
| Document en français |
Document en anglais |
| Un espace européen des données de santé : exploiter le potentiel des données de santé pour les citoyens, les patients et l’innovation
Communication de la Comission Européenne, le 3/5/2022 | |
| |
| Document en français |
| Etat de la menace rançongiciel à l’encontre des entreprises et institutions
ANSSI le 29/01/2020 | |
| |
| Document en français |
| Le rapport public annuel 2020 de la Cour des comptes
Chapitre consacré au Dossier Pharmacutique (Lien non faisable !) | |
| |
| Document en anglais |
| Good practices for the security of Healthcare services
European Union Agency for Cybersecurity
February 24, 2020 | |
| |
| Document en français |
| Délibération CNIL du 24 avril 2020 portant avis sur un projet d’application mobile dénommée « StopCovid » | |
| |
| Document en français |
| Equipe-projet StopCovid et écosystème des contributeurs sur le site de l’ANSSI, 26/4/2020 | |
| |
| Document en français |
| Déclaration conjointe sur le suivi numérique des contacts par Alessandra Pierucci, Présidente du Comité de la Convention 108 et Jean-Philippe Walter, Commissaire à la Protection des données du Conseil de l’Europe
Strasbourg, 28 avril2020 | |
| |
| Document en français |
| Etat de la menace rançongiciel à l’encontre des entreprises et institutions
ANSSI, 1/2/2021 | |
| |
| Document en français |
| Agir contre une attaque par hameçonnage
Fiche réflexes
ANS, mai 2020 | |
| |
| Document en français |
| Avis du Comité de Contrôle et de Liaison Covid-19 du 2/3/2021
« Secret médical et protection des données personnelles » | |
| |
| Document en français |
| La gouvernance des données de santé
Leçons de la crise du Covid-19 en Europe, en Chine et aux États-Unis
Institut Français des Relations Internationales (IFRI), juillet 2021 | |
| |
| Document en français |
| Numérique en santé
Entre e-santé, exercices pharmaceutiques et usages, « tout (sera) est connecté »
Cahier thématique 18 de l’Ordre national des Pharmaciens, 5/7/2021 | |
| |
| Document en français |
| Rapport annuel 2021 de la CNIL | |
| |
| Document en français |
| Covid-19 cyber threat assessment, Thalès, 24/3/2020 | |
| |
| Document en français |
| Référentiel des critères pour intégrer le catalogue de Mon espace santé
Juillet 2022
Référencement | |
| |
| Document en français |
| Health Data Hub : La protection des données au coeur de l’innovation en santé
Thèse professionnelle de Dalila Ferrah, Mastère spécialisé® « Management et protection des données personnelles », présentée le 4 novembre 2020
Comporte un benchmark européen | |
| |
| Document en français |
| Trajectoire du numérique en santé adaptée pour le secteur médico-social
Ministère des Solidarités et de la Santé, juin 2020 | |
| |
| Document en français |
| Observatoire des signalements d’incidents de sécurité des systèmes d’information pour le secteur santé
Rapport public 2019
Ministère des Solidarités et de la Santé, Haut fonctionnaire de sécurité et de défense, Agence du Numérique en Santé | |
| |
| Document en français |
| La Cour invalide la décision 2016/1250 relative à l’adéquation de la protection assurée par le bouclier de protection des données UE-États-Unis
CJUE le 16/7/2020
« arrêt Schrems II » | |
| |
| Document en français |
| Attaque par rançongiciels, tous concernés
Comment les anticiper et réagir en cas d’incident ?
ANSSI, septembre 2020 | |
| |
| Document en français |
| Ce que la Covid-19 a vraiment montré en matière de e-santé
Retour d’expérience en Île-de-France
Sesan (ARS IDF) août 2021 ? | |
| |
| Document en anglais |
| Electronic Health Record (EHR) standards for India
30/12/2016 | |
| |
| Document en français |
| Doctrine du numérique en santé
Ministère des Solidarités et de la Santé, janvier 2022 | |
| |
| Document en français |
| Avis du Conseil de la CNAM sur les travaux menés par la Commission mixte (COR et CSITN) sur les données de santé (hébergement du Health Data Hub)
Février 2022 | |
| |
| Document en français |
| Obligations et responsabilités en matière de cybersécurité des collectivités locales
Guide CNIL et Cybermalveillance.gouv.fr, juillet 2022 | |
| |
| Document en français |
| Référentiel d’interopérabilité et de sécurité des dispositifs médicaux numériques de télésurveillance
ANS / Journal Officiel, le 31/7/2022 | |
| |
| Document en français |
| Cyberattaque au CH de DAX
Retex un an après la crise
Centre hospitalier de Dax, aout 2022 | |
| |
| Document en anglais |
| Study on Digital Health implementation in the EU
Final Report
Délégation du Numérique en Santé, April 2022
Benchmark macro des régulations des différents pays de l’UE | |
| |
| Document en français |
| Cybersécurité des Dispositifs Médicaux Intégrant du Logiciel Au cours de leur Cycle de Vie
ANSM (Lien non faisable !), septembre 2022 | |
| |
| Document en anglais |
| Guidance on Cybersecurity for medical devices
Medical Device
European Commission
Medical Device Coordination Group December 2019 | |
| |
| Document en anglais |
| Principles and Practices for Medical Device Cybersecurity
International Medical Device Regulators Forum (IMDRF), October 1, 2019 | |
| |
| Document en français |
| Directive (UE) 2022/2555 du Parlement Européen et du Conseil du 14 décembre 2022
concernant des mesures destinées à assurer un niveau élevé commun de cybersécurité dans l’ensemble de l’Union
Nouvelle version de la directive Nis | |
| |
| Document en français |
| Arrêté du 22 février 2023 portant approbation du référentiel d’interopérabilité et de sécurité des dispositifs médicaux numériques | |
| |
| Document en français |
| Rapport de conclusion des travaux de la mission flash, constituée le 15 mars 2023, sur les défis de la cyberdéfense
Assemblée nationale le 17 janvier 2024 | |
| |
| Document en français |
| Guide pratique RGPD
Sécurité des données personnelles
CNIL, mars 2023 | |
| |
| Document en français |
| Feuille de route du numérique en santé 2023-2027 | |
| |
| Document en français |
| Instruction du 23 mai 2023 relative au traitement des incidents significatifs ou graves de sécurité des systèmes d’information | |
| |
| Document en français |
| Observatoire des incidents de sécurité des systèmes d’information pour les secteurs santé et médico-social
Rapport public 2022
ANS, CERT santé | |
| |
| Document en français |
| Recommandations relatives à l’authentification multifacteur et aux mots de passe
Guide ANSSI, 8/10/2021 (?) | |
| |
| Document en français |
| Plan blanc numérique
Etablissement de santé
Guide d’aide à la préparation
DGOS
dans le Bulletin officiel Santé - Protection sociale - Solidarité n° 2023/12 du 30 juin 2023 | |
| |
| Document en français |
| Instruction SHFDS/FSSI/2023/15 du 30 janvier 2023 relative à l’obligation de réaliser des exercices de crise cyber dans les établissements de santé et à leur financement
Ministère de la Santé et de la Prévention
Source online ? | |
| |
| Document en anglais |
| ENISA threat landscape health sector
(January 2021 to March 2023)
ENISA (European Union agency for cybersecurity), July 2023 | |
| |
| Document en français |
| Manuel de certification des établissements de santé
HAS, le 20 juillet 2023 | |
| |
| Document en français |
| Évaluation de la gestion des risques numériques dans les pratiques de soins selon le référentiel de certification des établissements de santé
HAS, 7/9/2023 | |
| |
| Document en anglais |
| Cybersecurity in Medical Devices: Quality System Considerations and Content of Premarket Submissions
Guidance for Industry and Food and Drug Administration Staff
FDA, April 8, 2022 | |
| |
| Document en français |
| The Malicious Use of Artificial Intelligence: Forecasting, Prevention, and Mitigation
Electronic Frontier Foundation, February 20, 2018 | |
| |
| Document en français |
| La Cybersécurité pour les ESSMS en 13 questions
Ministère de la Santé et ANS, octobre 2022 | |
| |
| Document en français |
| Panorama de la cybermenace 2022
ANSSI, janvier 2023 | |
| |
| Document en français |
| Arrêté du 26 octobre 2023 portant approbation du référentiel de sécurité et d’interopérabilité relatif à l’accès des professionnels au dossier médical partagé (DMP) | |
| |
| Document en français |
| Etablissement de santé
Déployez sereinement la téléradiologe
ANAP, 19/2/2024 | |
| |
| Document en français |
| Panorama de la cybermenace 2023
ANSSI, mars 2024 | |
| |
| Document en français |
| Mémento de sécurité informatique pour les professionnels de santé en exercice libéral
Guide des bonnes pratiques
ANS, le 17/11/2021 | |
| |
| Document en français |
| Guide des prérequis et objectifs
Appel à Financement n°1- Fonction « Annuaires techniques et exposition sur internet »
Ministère de la Santé, mars 2023 | |
| |
| Document en français |
| Doctrine du Numérique en Santé 2023 | |
| |
| Document en français |
| Arrêté du 6 mai 2024 relatif au référentiel de sécurité applicable au Système national des données de santé | |
| |
| Document en français |
| Référentiel de certification Hébergeur de données de santé (HDS) Exigences
Référentiel d’accréditation HDS
JO du 16 mai 2024
(référence à SecNumCloud v3.2 de l’ANSSI) | |
| |
| Document en français |
| Observatoire des signalements d’incidents de sécurité des systèmes d’information pour les secteurs santé et médico-social
Rapport public 2023
ANS, CERT Santé | |
| |
| Document en français |
| Recommandations de sécurité pour un système d’IA générative
Le document vise à sensibiliser les administrations et entreprises aux risques liés à l’IA générative ainsi qu’à promouvoir les bonnes pratiques dans la mise en œuvre de ce type de système.
ANSSI, le 29 avril 2024 | |
| |
| Document en français |
| La cybersécurité en établissement de santé
Plan d’attaque contre les attaques
ANAP, le 19/6/2024 | |
| |
| Document en français |
| MaturiN-SMS
Evaluation de la maturité numérique du champ social et médico-social
Ministère de la Santé, 22/2/2024 | |
| |
| Document en français |
| Guide de sensibilisation à la menace informationnelle
Ecosystème des acteurs économiques associés aux Jeux Olympiques et Paralympiques de Paris 2024
Secrétariat Général de la Défense et de la sécurité Nationale, mai 2024 | |
| |
| Document en anglais |
| The Pregnancy Panopticon
Women’s health is big business. There are a staggering number of applications for Android and iOS which claim to help people keep track of their monthly cycle...
Electronic Frontier Foundation (EFF), July 2017 | |
| |
| Document en français |
| Sécurisation de l’accès à distance des prestataires
CERT Santé / ANS, le 18/1/2023 | |
| |
| Document en français |
| Recommandations pour l’hébergement dans le cloud des systèmes d’information sensibles
ANSSI, juillet 2024 | |
| |
| Document en français |
| Référentiel d’Interopérabilité, de Sécurité et d’Ethique des systèmes d’information de téléconsultation
Version V1.5.0
ANS, octobre 2024 | |
| |
| Document en français |
| Secteur de la santé
Etat de la menace informatique
Cert-FR, 31/10/2024 | |
| |
| Document en anglais |
| Report 2030 Digital decade
Report on the state of the digital decade 2024
This document should not be considered as representative of the European Commission’s official position. Luxembourg: Publications Office of the European Union, 2024 | |
| |
| Document en français |
| Les (cyber)violences au sein du couple
Premier entretien d’un professionnel ou d’une professionnelle avec une victime de (cyber)violences au sein du couple
Réalisé par la Mission interministérielle pour la protection des femmes contre les violences et la lutte contre la traite des êtres humains (Miprof) et le Centre Hubertine Auclert
2024 | |
| |
| Document en français |
| Appel à projets 2024-2025
Outils numériques au service des parcours de soins & de la prévention
G.nius, Décembre 2024 | |
| |
| Document en français |
| Panorama des solutions de gestion de données
Anap et HDH, décembre 2024 | |
| |
| Document en français |
| Clausier sécurité 2024
Club RSSI santé
Version de mai 2024 | |
| |
| Document en français |
| La sécurité informatique des établissements de santé
Cour des Comptes, le 3/1/2025 | |
| |
| Document en anglais |
| Communication Action Plan Cybersecurity Hospitals and Healthcare providers
European action plan on the cybersecurity of hospitals and healthcare providers
European Commission, 15 January 2025 | |
| |
| Document en français |
| Instruction DNS du 22 janvier 2025 relative à l’obligation de mettre en œuvre des actions urgentes ou prioritaires au service de la sécurité des systèmes d’information dans les établissements sanitaires | |
| |
| Document en français |
| Plan stratégique de l’Agence nationale de la sécurité des systèmes d’information
2025-2027 | |
| |
| Document en français |
| Panorama de la cybermenace 2024
ANSSI, 11 Mars 2025 | |
| |
| Document en français |
| Arrêté du 23 octobre 2023 modifiant l’arrêté du 23 juin 2022 relatif aux critères applicables au référencement des services et outils numériques au catalogue de service de l’espace numérique de santé | |
| |
| Document en français |
| Programme Care 2023-2027 | |
| |
| Document en français |
| Les français et le numérique en santé
Synthèse d’études
DNS, janvier 2024 | |
| Format autonome
Format de document électronique :
- affichable et imprimable indépendamment du LAP (Lien non faisable !), de la BdM (Lien non faisable !) et de tout autre outil métier sur un poste informatique équipé uniquement de programmes gratuits. Pour la certification des LAP, sont considérés comme formats autonomes : pdf-A, html-4, txt-UTF8, txt-UTF16 et rtf;
- dont le contenu est utilisable par les professionnels de santé sans recourir à des données, des tables ou des codages propres au LAP, à la BdM ou à l’établissement. | | |
| Répertoire Partagé des Professionnels de Santé (RPPS)
Répertoire assignant à chaque professionnel de santé (chirurgiens-dentistes, médecins, pharmaciens, sages-femmes) exerçant en France un identifiant à 11 chiffres, unique, pérenne et « non significatif » (ne comportant aucune information d’âge ou de localisation). Cet identifiant est utilisé dans le référentiel d’interopérabilité de l’ASIP. | | |
| Services associés
Ensemble de services liés à une activité et pouvant être pris en charge par un logiciel ou par l’utilisation d’une fonction du logiciel enrichie d’une action humaine.
« Règles de certification de la marque NF Logiciel » Afaq-Afnor Certification. | En tant qu’élément de glossaire, ce terme semble à déprécier car il n’est pas utilisé. Il reste le pivôt de ma balise Services_associes | |
| La conservation sur support informatique des informations médicales mentionnées aux trois premiers alinéas de l’article L. 1110-4 par tout professionnel, tout établissements et tout réseau de santé ou tout autre organisme intervenant dans le système de santé est soumise au respect de référentiels définis par arrêtés du ministre chargé de la santé, pris après avis de la Commission nationale de l’informatique et des libertés. | | |
| Habilitation informatique : niveau d’accès aux données et aux fonctions (en particulier possibilités de requêtes). Les habilitations résultent des activités et de la qualité des utilisateurs. Elles sont justifiées par le métier ou par une mission. Elles doivent prendre en compte la continuité des soins. | | |
| Guides de sécurité informatique à l’usage des professionnels ou des établissements de santé | | |
| DDoS : Distributed Denial of Service attack | | |
| WikiPE comporte un anti-injecteur SQL, no-SQL et anti attaque XSS. Seules certaines chaines de caractères, entrées à titre de paramètre par les administrateurs informatiques ne sont pas contrôlées par cet anti-injecteur. | | |
| Présentation | Gère le chiffrement et le déchiffrement des données, convertit les données machine en données exploitables par n’importe quelle autre machine | |
| Coffre fort électronique
Un service d’archivage à vocation probatoire est «un système d’archivage de données mettant en œuvre des processus et des mécanismes de sécurité (horodatage, empreinte du document, signature numérique, etc.), souvent réalisés par des tiers, permettant d’apporter une valeur juridique à la conservation intègre du document et à sa lisibilité dans le temps». Ce service comprend habituellement : une fonction d’horodatage, de mise sous scellés, éventuellement de cryptage, et de mise en coffre-fort. Ce service serait offert par un tiers de confiance (hébergeur de données de santé dans le cas qui nous intéresse). Il permet à un utilisateur de prouver qu’un document est original et non-modifié puisqu’identique à une copie déposée (datée et sous scellés) dans le coffre-fort électronique. | | |
| VIGIPIRATE : Remontée des signaux faibles de radicalisation
Dans les circonstances actuelles, il est plus que jamais nécessaire que les services de l‘Etat disposent des remontées d’informations concernant les évènements qui se passent sur le territoire.
Cette connaissance se traduit notamment par :
1. Une remontée des « signaux faibles »
Les informations relatives à toutes les violences physiques ou verbales, à connotation confessionnelle, raciste ou antisémite, les tags, les mails et tweets proférant insultes ou menaces, les signes de radicalisations des comportements des personnels ou visiteurs doivent être signalés aux services de police locaux.
2. Une remontée des attaques sur les systèmes d’informations
L’ensemble des sites français étant menacés, il est nécessaire de rendre compte desattaques de tous types qui se sont produites (ssi@sg.social.gouv.fr). Par ailleurs, vous trouverez sur le site de l’ANSSI, une note d’information sur les dénis de service :
http://www.cert.ssi.gouv.fr/site/CERTA-2012-INF-001/index.html.
Le service du haut fonctionnaire de défense et de sécurité reste à votre disposition pour tout complément d’information (Tel: 01 40 56 48 49 - Boite fonctionnelle : hfds@sg.social.gouv.fr) | | |
| Lorsque la signature « est électronique, elle consiste en l’usage d’un procédé fiable d’identification garantissant son lien avec l’acte auquel elle s’attache. La fiabilité de ce procédé est présumée, jusqu’à preuve contraire, lorsque la signature électronique est créée, l’identité du signataire assurée et l’intégrité de l’acte garantie, dans des conditions fixées par décret en Conseil d’Etat.» | | |
| Phreaking : piratage informatique concernant les téléphones et la téléphonie | Des ESMS victimes d’importants piratages des systèmes de téléphonie : comment limiter les risques ? Note d’information du 19/08/2015 (URIOPSS Nord Pas-de_Calais) | |
| Les fichiers gérés par WikiPE sont stockés sans modification dans un dossier nommé « Multimedia » dans le même dossier que le site web et au même niveau (ce qui empêche l’accès sans recours à l’application, sauf piratage du serveur). La base MongoDB ne contient que le nom, la langue et surtout les droits attachés au contenu multimédia. Au même niveau, un fichier « Transit » héberge transitoirement les fichiers CSV lors de leur synthèse. | | |
| Rançonnage de l’Hollywood Presbyterian Medical Center par utilisation d’un cryptovirus :
- HelpNetSecurity le 15/2/2016
- Le Monde le 16/2/2016
- Communication de l’établissement sur l’événement
- France24 le 18/2/2016 | | |
| Chaîne d’alerte mise en place par le ministère des affaires sociales pour la remontée des incidents informatiques : ssi@sg.social.gouv.fr | | |
| OWA (One key Web Authentification) | | |
| LifeLabs, le plus grand fournisseur de tests en laboratoire du secteur de la santé au Canada, a été la cible d’une fuite de données massive qui a exposé les informations personnelles et médicales d’environ 15 millions de Canadiens.
Dans un communiqué publié sur son site internet, LifeLabs a révélé qu’un attaquant non identifié avait eu un accès non autorisé aux systèmes de l’entreprise le mois dernier et volé les informations clients suivants :
Nom
Adresse postale
Adresse mail
Identifiant de connexion
Mot de passe de leur compte LifeLabs
Date de naissance
Numéro de sécurité sociale
Résultats d’analyse
LifeLabs a choisi de payer une somme non divulguée à l’attaquant afin de récupérer les données dérobées.
L’entreprise a détecté la fuite de données fin octobre mais n’a pas précisé comment l’attaquant avait pu s’introduire dans ses systèmes. Elle a déclaré que les données impactées remontaient jusqu’à 2016 pour 85 000 clients et que les clients concernés seront contactés prochainement. Les autorités canadiennes ont été averties et poursuivent l’investigation, qui permettra peut-être d’identifier le nom du programme malveillant utilisé ainsi que les attaquants à l’origine de la cyberattaque.
Etant donné que la fuite de données a notamment révélé des identifiants et mots de passe, les clients concernés ont pour consigne de changer le mot de passe de leur compte LifeLabs.
Pour rappel, si vous êtes victimes de rançongiciels, il est recommandé de ne jamais payer les rançons...
Cyberveille, janvier 2020 | | |
